关于逆向工程:IDA静态分析

一：剖析“getText”函数

1.首先任意关上一个函数，以getText函数为例，如下图所示。

2.双击关上该函数，开始剖析汇编指令，箭头所指地位是指令的开始处，如下图所示。

.text:00001148 STMFD SP!,{R3-R5,LR}

压栈操作，把R3-R5，LR别离压到栈顶。

.text:0000114C MOV R5, R1

把R1赋值给R5。

.text:00001150 LDR R3, [R0]

将R0的地址给R3。

.text:00001154 MOV R4, R0

将R0给R4。

.text:00001164 BLX R3

跳转带链接状态切换到R3。

.text:0000117C ADD R3, PC, R3

将PC和R3相加给R3。

曾经晓得他的操作流程，那么它的这些操作为了实现什么逻辑呢？带着这个疑难持续剖析。

1.如下图所示为源代码的逻辑，它在获取字段的值。

2.在反汇编窗口中找到getText函数，按“F5”,将汇编指令切换为伪代码，通过查看IDA里的伪代码发现：默认传入的参数类型须要批改能力查看，如下图所示。

3.选中getText函数的参数，右键N对名称进行批改。第一个参数就是刚刚看到的env，间接改为env；右键Y对类型的批改，将类型批改为JNIEnv*。这样就辨认实现了，成果如下图所示。

剖析此处的逻辑：

第一个跳转是：Findclass

第二个跳转是：GetFindID

第三个跳转是：GetObjectFieId

第四个跳转是：GetStringUTFChars

第五个是返回一个：NewStringUTF

接着批改参数，如下图所示。

4.参数批改实现后，右键抉择copy将伪代码拷贝到反汇编窗口，也就是getText函数的汇编指令，如下图所示。

这就是最终的成果，剖析最终成果，便能够理解这些指令的作用，如下图所示。

本次次要分享了动态剖析的流程：

1、剖析函数，查看ARM汇编指令。

2、比照剖析源码、伪代码、汇编指令三者对应关系。

3、查看跳转，理清逻辑。

4、总结逻辑，实现过程。